Firmas de archivo y extensiones falsas

4 tareas · 45 min · Principiante

El nombre de un archivo es lo primero que se ve y lo menos fiable. Esta sala enseña a mirar lo que el archivo es por dentro: los primeros bytes de la mayoría de los formatos llevan una firma, y comparar esa firma con la extensión es una de las comprobaciones más baratas y más útiles de un triaje. Con una memoria USB de contabilidad de Torrefactora Piedras Blancas lees nueve cabeceras de 16 bytes y decides cuáles no cuadran. Solo lectura de cabeceras guardadas: ningún archivo se abre ni se ejecuta.

0 de 4 · 0%

Objetivo de la sala

La extensión es un trozo del nombre. La escribe quien nombra el archivo y se puede cambiar sin tocar un solo byte del contenido. El sistema operativo la usa para decidir con qué programa se abre, y por eso un nombre engañoso puede llevar a alguien a abrir algo que no esperaba. La firma (o número mágico) es otra cosa: son los primeros bytes del contenido, que el propio formato exige para ser reconocido.

En la carpeta hay una tabla de firmas de referencia. Una firma no se «disfraza» con solo renombrar: para cambiarla hay que cambiar el contenido, y eso ya no es el mismo archivo.

Responde para continuar

¿Por qué un analista no se fía de la extensión para saber qué es un archivo?

Porque el sistema de archivos la elimina siempre que se copia el archivo a otra unidad distinta Porque la escribe quien nombra el archivo y se cambia sin tocar nada del contenido en sí Porque solo los archivos con extensión de tres letras llevan una cabecera con firma

Ver pista de ayuda

Renombrar un archivo no modifica sus bytes.

La comprobación es mecánica: se toma el nombre, se mira qué formato anuncia la extensión, y se compara con los primeros bytes. Un .pdf debe empezar por la firma de PDF; un .jpg, por la de JPEG; un .png, por la de PNG. Cuando no cuadra, hay una pista que seguir, no un veredicto: puede ser un error inocente, un archivo mal guardado o algo puesto a propósito.

Abre las cabeceras de la memoria USB y compara cada una con la tabla de referencia. Busca la que anuncia un formato y contiene otro muy distinto de lo que cabría esperar de un documento.

Responde para continuar

¿Qué archivo con extensión de documento PDF empieza con la firma de un ejecutable de Windows? Escribe su nombre tal cual.

Ver pista de ayuda

La firma de un ejecutable de Windows son los dos bytes que codifican el texto MZ.

Antes de marcar un archivo hay que saber qué firma lleva legítimamente su formato. Los documentos de Office modernos (docx, xlsx, pptx) y otros formatos son, por dentro, contenedores ZIP: empiezan con la firma de ZIP y no con una propia. Marcarlos como falsos es un falso positivo que cuesta credibilidad al informe.

Mira la cabecera de la hoja de nómina y decide.

Responde para continuar

nomina-noviembre.xlsx empieza con la firma de ZIP. ¿Es una extensión falsa?

No, porque un xlsx es un contenedor ZIP y por eso empieza con la firma de un ZIP Sí, porque un xlsx debería empezar con una firma propia, distinta de la de ZIP Sí, porque cualquier archivo que empiece como un ZIP es un comprimido, no una hoja

Ver pista de ayuda

Mira la nota que acompaña a la firma de ZIP en la tabla de referencia.

El resultado de la comprobación se resume en una cifra y una lista: cuántos archivos tienen una extensión que no corresponde a su firma, y cuáles. Para cada uno se anota el nombre, la firma que lleva, el formato que anuncia y el hash del archivo. Los que anuncian un ejecutable no se abren ni se ejecutan: se registran y pasan al triaje seguro del módulo 13, con el análisis estático y sin ejecución.

Cuenta los desajustes de la memoria USB. Un archivo de texto o un CSV, que no tienen firma propia, no entran en la cuenta.

Responde para continuar

¿Cuántos archivos de la memoria USB tienen una extensión que no corresponde a la firma de su cabecera? Escribe solo el número.

Ver pista de ayuda

Revisa uno por uno los nueve archivos con la tabla de referencia; descarta los falsos positivos.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 La extensión es una etiqueta Lab

2 Una cabecera que no cuadra Lab

3 No todo desajuste es un desajuste Lab

4 Contar y documentar Lab

Whoami-Labs Pro utiliza cookies